Datenschutzinformation „Selbsteinschätzung und Antrags-Service der isi-App“
Stand: 03.11.2026. Freigegeben vom DSB (Markus Rothenhöfer) am 03.11.2026. Vorlage: freigegebene Fassung der Vera-Strecke (app-vera.de, 26.10.2026, Ergänzung Praxis-Nachfrage freigegeben 03.11.2026, Fassung 2).
1. Verantwortlicher
Endo Health GmbH, Theaterstraße 56, 09111 Chemnitz, vertreten durch Dr. med. Nadine Rohloff. E-Mail: support@isi-app.de. Datenschutzbeauftragter: Markus Rothenhöfer, datenschutz@endometriose.app.
2. Worum es geht
Auf quiz.app-isi.de (früher test.app-isi.de) beantwortest du Fragen zu deinen Beschwerden vor der Periode (PMS, PMDS), bekommst eine persönliche Einordnung und passende Inhalte der isi-App und kannst auf Wunsch ein persönliches Anschreiben an deine Arztpraxis erstellen lassen, um die isi-App verordnet zu bekommen. Die isi-App ist eine digitale Gesundheitsanwendung (DiGA). Dieser Dienst liegt vor der Freischaltung der App.
3. Welche Daten, wofür, auf welcher Grundlage
| Daten | Zweck | Rechtsgrundlage | Speicherdauer |
|---|---|---|---|
| Antworten im Fragebogen (Alter in Gruppen, Zyklus, zeitliches Muster, seelische und körperliche Beschwerden und deren Stärke, Beginn vor der Periode, Alltag, seit wann, ärztliche Abklärung, bisherige Maßnahmen, Versicherungsart) | Einordnung erstellen, Inhalte vorschlagen, Anschreiben vorbereiten | Bis zur E-Mail-Bestätigung nur in deinem Browser. Danach ausdrückliche Einwilligung, Art. 9 Abs. 2 lit. a, Art. 6 Abs. 1 lit. a DSGVO | bis zum Widerruf, längstens 12 Monate nach deiner letzten Aktivität |
| E-Mail-Adresse, Vorname (freiwillig) | Bestätigung per Code oder Link (Double-Opt-in), Zusendung deines Ergebnisses, des Anschreibens und von Infos zur isi-App (z. B. Hinweise zu deinem Antrag); von Infos und Erinnerungen kannst du dich in jeder Mail mit einem Klick abmelden | Einwilligung, Art. 6 Abs. 1 lit. a DSGVO | wie oben |
| Name, Geburtsdatum, Anschrift, Krankenkasse, Versichertennummer (freiwillig), Unterschrift, gewählte Praxis | Persönliches Anschreiben an deine Praxis erstellen und in deinem Auftrag übermitteln | Ausdrückliche Einwilligung und Auftrag, Art. 9 Abs. 2 lit. a, Art. 6 Abs. 1 lit. a und b DSGVO | wie oben; das PDF des Anschreibens wird mit deinem Datensatz gelöscht |
| Handynummer (freiwillig) und dein Einverständnis zum Rückruf | Rückruf und Nachfassen, falls es mit deiner Praxis hakt; die Nummer steht außerdem im Anschreiben für Rückfragen der Praxis | ausdrückliche Einwilligung, Art. 6 Abs. 1 lit. a DSGVO, jederzeit widerrufbar | wie oben |
| Nur wenn du den freiwilligen Haken „Ich möchte, dass mich die isi-App bei meinem Antrag weiter unterstützt“ setzt (Praxis-Nachfrage): deine Einwilligung mit Zeitpunkt und Textfassung sowie der Stand deiner Anfrage, den uns deine Praxis sagt (z. B. ob und wann sie den Nachweis verschickt hat) | Die Endo Health GmbH (Anbieterin der isi-App, Verantwortliche) unterstützt dich weiter bei deinem Antrag: Sie darf bei deiner Praxis nachfragen, wie weit deine Anfrage ist, und deine Praxis darf ihr das sagen. So können wir dir weiterhelfen, falls es dort länger dauert. Weitere Auskünfte über dich erhalten wir dabei nicht. Der Haken ist freiwillig und keine Voraussetzung für das Anschreiben; ohne ihn geht dein Anschreiben genauso raus | ausdrückliche Einwilligung, Art. 9 Abs. 2 lit. a, Art. 6 Abs. 1 lit. a DSGVO, jederzeit mit Wirkung für die Zukunft widerrufbar: Eine kurze Mail an support@isi-app.de genügt (oder an datenschutz@endometriose.app) | wie oben |
Sitzungs-Cookie vr_sess |
Angemeldet bleiben, bis deine isi-App freigeschaltet ist | technisch erforderlich, § 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. b DSGVO | 180 Tage |
Einwilligungs-Cookie vr_consent |
deine Cookie-Auswahl speichern. Das Banner unten auf der Seite bietet „Alle akzeptieren“ (Statistik und Marketing) oder unter „Einstellungen“ die Auswahl je Kategorie: Statistik und Marketing sind dort voreingestellt, du kannst jede Kategorie ausschalten und mit „Auswahl speichern“ bestätigen, oder „Nur notwendige“ wählen. Bis du einen Knopf antippst, gilt nur das Notwendige. Ändern jederzeit über „Cookie-Einstellungen“ unten auf jeder Seite | § 25 Abs. 2 Nr. 2 TDDDG | 180 Tage |
Herkunft deines Besuchs (Kampagnen-Parameter wie utm_campaign/utm_content, Klick-Kennungen wie fbclid/gclid), nur mit Einwilligung „Marketing“ |
Auswerten, welche Anzeige zu Anfragen führt, und Werbung danach steuern. Bis zur E-Mail-Bestätigung nur in deinem Browser und am Nutzungsverlauf (siehe unten), danach mit deinem Datensatz gespeichert | Einwilligung, Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG, jederzeit widerrufbar über „Cookie-Einstellungen“ | wie oben (gelöscht mit deinem Datensatz) |
Meta-Pixel (eigener Pixel für quiz.app-isi.de) und Conversions API (inkl. Klick-Kennung fbclid, Meta-Cookies _fbp/_fbc, gehashter E-Mail-Adresse) |
Messung und Optimierung unserer Werbung | nur mit Einwilligung „Marketing“, Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG | siehe Anbieter; unser Protokoll 13 Monate |
| Zuteilung zum freiwilligen Haken „Praxis-Nachfrage“ (ob er dir angezeigt wird) | Ein Zufallsverfahren entscheidet, ob dir der freiwillige Haken angezeigt wird. Die Zuteilung speichern wir mit deinem Datensatz, um den Ablauf zu verbessern | berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO | wie oben (gelöscht mit deinem Datensatz) |
| Nutzungsverlauf im Fragebogen ab dem ersten Bildschirm: welcher Schritt angezeigt, beantwortet, verlassen wurde, Verweildauer je Schritt, grobe Geräteklasse (Handy/Computer, Bildschirmbreite in Klassen), Testvariante; keine Antwortinhalte, keine IP-Adresse | Sehen, wo der Fragebogen schwierig ist, und ihn verbessern | ohne Einwilligung nur anonyme Tageszähler je Schritt ohne Kennung und ohne Speicherung auf deinem Gerät (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO); mit Einwilligung „Statistik“ zusätzlich je Besuch mit zufälliger Sitzungs-ID (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Nach deiner E-Mail-Bestätigung wird diese Sitzungs-ID mit deinen Antworten verknüpft | 12 Monate |
Werbe-Dienste: Mit deiner Einwilligung „Marketing“ (auch über „Alle akzeptieren“) speichern wir die Herkunft deines Besuchs (siehe Tabelle). Nur dann laden wir den Meta-Pixel und melden Meta über die Conversions API neutrale Schritte (z. B. „E-Mail bestätigt“), jeweils mit gehashter E-Mail-Adresse und Klick-Kennung. Google-Tags laden wir auf dieser Seite derzeit nicht. Was nie an Werbepartner geht: deine Antworten, Beschwerden, Stärken, deine Praxis, dein Anschreiben.
4. Empfänger und Auftragsverarbeiter
- Amazon Web Services EMEA SARL, Rechenzentrum Frankfurt (eu-central-1): Datenbank, Ablage der Anschreiben (verschlüsselt) und Versand der E-Mails (Amazon SES, ohne Öffnungs- und Klickverfolgung).
- Vercel Inc.: Hosting der Seite und der Server-Funktionen (Region Frankfurt). Datenübermittlung in die USA auf Grundlage des EU-US Data Privacy Framework bzw. Standardvertragsklauseln.
- Deine gewählte Arztpraxis: erhält das Anschreiben per Post, nur nach deinem ausdrücklichen Auftrag und deiner Unterschrift. Hast du den Haken zur Praxis-Nachfrage gesetzt, steht das im Anschreiben, und die Praxis darf uns sagen, wie weit deine Anfrage ist (diese Angabe erhalten wir dann von deiner Praxis, nicht von dir).
- E-Mail-Brief (emailbrief.de, Druck und Postversand des Anschreibens) im Auftrag von Endo Health; der Brief unterliegt dem Briefgeheimnis.
- Cloudflare, Inc. (Turnstile): Schutz vor automatisierten Anfragen beim Anfordern des Codes und beim Absenden des Anschreibens. Dabei verarbeitet Cloudflare technische Merkmale deines Browsers und deine IP-Adresse, um echte Nutzerinnen von Bots zu unterscheiden; Turnstile setzt keine Werbe-Cookies. Rechtsgrundlage: berechtigtes Interesse am Schutz vor Missbrauch (Art. 6 Abs. 1 lit. f DSGVO, § 25 Abs. 2 Nr. 2 TDDDG). Übermittlung in die USA auf Grundlage des EU-US Data Privacy Framework.
- Nur mit Einwilligung Marketing: Meta Platforms Ireland Ltd. (mit möglicher Übermittlung in die USA).
- Praxissuche: Die Suche nach deiner Praxis läuft über unser eigenes Verzeichnis von Arztpraxen (Endo Health, Datenquelle Arztdata). Dabei werden nur deine Suchbegriffe und eine gekürzte, gehashte IP-Adresse verarbeitet.
- App-Store-Bewertung: Die angezeigte Bewertung der isi-App rufen wir serverseitig bei Apple ab; dabei werden keine Daten von dir übermittelt.
5. Deine Rechte
Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch, Widerruf einer Einwilligung mit Wirkung für die Zukunft (über „?“ → „Meine Daten löschen“ oder per E-Mail an datenschutz@endometriose.app) sowie Beschwerde bei einer Aufsichtsbehörde (z. B. Sächsische Datenschutz- und Transparenzbeauftragte).
6. Sicherheit
Verschlüsselte Übertragung (TLS), Verschlüsselung der Datenbank und der Dateien (AWS KMS), Zugriff der Server-Funktionen nur über eine eng begrenzte Rolle ohne dauerhafte Zugangsschlüssel und mit eigenem Datenbank-Benutzer je App, keine Gesundheitsangaben in Protokollen, Bestätigungscodes werden nur als Prüfwert gespeichert und verfallen nach 30 Minuten.